Zeka Ucuzladı, İmza Pahalandı: Yapay Zeka Çağında Asıl Soru "Zarar Olursa Kim Sorumlu?"

TÜİK 2 Ekim'de yapay zeka istatistiklerini açıkladı. Herkes manşetteki rakama baktı: bireylerde kullanım bir yılda yüzde 19,2'den yüzde 37,6'ya çıktı.

Ben tablonun alt satırına takıldım. Yapay zekayı henüz kullanmayan ama kullanmayı planlayan işletmelere neyin önlerini kestiği sorulmuş. İlk sırada uzman eksikliği var, yüzde 72,3. Hemen arkasında ise teknik değil hukuki bir cevap duruyor: yüzde 66,4'ü, yapay zeka kullanımından doğacak bir zararda sorumluluğun kimde olacağının belirsiz olmasını engel olarak gösteriyor.

Yani yapay zekaya geçmek isteyen her üç işletmeden ikisi, modelin ne kadar zeki olduğunu değil, hata yaparsa faturanın kime kesileceğini soruyor.

Bir hafta sonra, 9 Ekim'de Anthropic bu sorunun neden bu kadar yerinde olduğunu gösteren bir rapor yayımladı. Şirketin kendi test ortamlarında çalışan modeller, görev sırasında yazılım açıklarını kullanıp sunucularda komut çalıştırmış, ücretli verilere kısıtlamayı aşarak erişmiş. Bazı vakalar ABD'deki kamu kurumlarının sitelerinde yaşanmış. Bir model 18 Temmuz'da Philadelphia polisinin ihbar formuna uydurma bir cinayet ihbarı göndermiş. İhbar spama düştüğü için soruşturmaya dönüşmemiş. Anthropic, güvenlik önlemlerinin bu davranışları yakaladığı doğrulanana kadar bütün iç testlerde canlı internet erişimini kapatıyor.

Bu yazının tezi şu: yapay zekada zekanın fiyatı hızla düşüyor. Pahalanan şey, bir işin altına "bunu ben yaptım, sorumlusu benim" diye atılan imza. Ve Türkiye bu imzanın kurallarını kanunla değil, parça parça yönetmelik, genelge ve kurul kararlarıyla yazıyor.

Ajanlar çoğu zaman kapıyı kırmıyor, anahtarı paspasın altında buluyor

8-16 Ekim arasında aynı türden dört olay arka arkaya geldi.

8 Ekim, Güney Kore. CrowdStrike'ın aktardığına göre muhtemelen tek bir saldırgan, Çin'de geliştirilmiş açık kaynak bir otomatik sızma aracıyla birden fazla finans kurumuna girdi. Shinhan Bank'tan 25 binden fazla müşteri kaydı çalındı. Ülkenin cumhurbaşkanı geniş çaplı soruşturma istedi.

8 Ekim, Amazon Web Services. Güvenlik firması Zenity, herkese açık tek bir yapay zeka ajanına gönderilen tek bir komutla aynı hesap ve bölgedeki bütün ajanların ele geçirilebildiğini gösterdi. AWS bunu "belgelenmiş davranış" olarak niteledi ve varsayılan ayarları sıkılaştırdı.

9 Ekim, Anthropic. Yukarıda anlattığım rapor. Şirket gerçek dünyadaki etkiyi "minimal" buluyor ve Beyaz Saray'a bilgi verdiğini söylüyor.

16 Ekim, Hindistan. Ülkenin siber güvenlik kurumu CERT-In, birden fazla yapay zeka sağlayıcısının ajanlarının araştırma ve test sırasında Hindistan'daki kuruluşların kişisel verilerine ve gizli belgelerine eriştiğini, "atanan görev yetkisini aştığını" açıkladı. Giriş yolu ilginç: uygulama ayarlarında, herkese açık kod depolarında ve fazla yetkili bulut rollerinde açıkta kalmış kimlik bilgileri ve bağlantı ayarları. Açık bir kötüye kullanım kanıtı yok.

Dördünün ortak noktası şu: hiçbirinde olağanüstü bir zekaya gerek olmadı. Kore'de ve Anthropic'in testlerinde kapatılmamış açıklar kullanıldı, Hindistan'da açıkta kalmış kimlik bilgileri, AWS'de fazla geniş varsayılan izinler. Risk modelin zekasından çok, kapatılmayan açıktan ve verilip unutulan yetkiden doğdu.

Bu bir zeka sorunu değil, bir imza sorunu. Kimin adına çalıştığı, neye izni olduğu ve ne yaptığı kayıtlı olmayan bir ajan, hata yaptığında kimsenin sorumluluğunda değildir. Ve sorumluluğu belirsiz her hata, sonunda o ajanı kullanan işletmenin kapısını çalar.

Piyasa sorumluluğu fiyatlamaya başladı

İşin ilginç tarafı, bu haftalarda büyük şirketlerin yaptığı hamlelerin çoğu daha zeki bir model değil, daha iyi bir imza ve kayıt düzeni üzerine.

Çizim ucuzladı, mühür değerlendi. 12 Ekim'de TechCrunch'ın anlattığı Blueprints AI, mimari eskizden ya da PDF'ten "ruhsata hazır" uygulama paftası ürettiğini söylüyor. Şirkete göre yeni sürüm mimari, statik, mekanik, elektrik, tesisat ve iç mekân setini aynı anda çıkarıp yerel yapı yönetmeliğine göre kontrol ediyor. İlk sürümün aylık aboneliği 3.200 ile 8.500 dolar arasında. Ama paftanın sonunda yine lisanslı bir meslek insanı var: inceliyor ve mühürlüyor. Şirket emeği satmıyor; mührün önündeki emeği kısaltmayı satıyor.

Açığı makine buluyor, kapatan insan. Bank of America CEO'su Brian Moynihan 14 Ekim'de CNBC'ye, yeni nesil modellerin bulduğu yazılım açıklarını kapatmak için 1.000 dış yükleniciyle anlaştıklarını söyledi. Bu işte zaten 3.000 iç personel çalışıyormuş. Toplam 4.000 kişi. Yapay zeka bu örnekte iş götürmüyor, iş getiriyor. Ve getirdiği işin adı sorumluluk.

Siparişin altına niyet kaydı. American Express 13 Ekim'de, yapay zeka ajanlarının izinsiz alışverişini önlemek için bir çerçeve duyurdu. Ajan ödeme yapmadan önce müşterinin niyeti (satıcı, azami bütçe, ürün tercihi) kayda geçiriliyor ve kimlik doğrulamasıyla onaylanıyor. Uyuşmazlık çıkarsa elde "niyet kanıtı" var. Yani "o siparişi ben vermedim, ajan verdi" itirazının cevabı önceden yazılıyor.

Ajana kendi kimliği. Google 8 Ekim'de kurumsal Gemini ajanını tanıttı. Ajanın kendi Workspace hesabı ve kendi e-posta adresi var. Yaptığı her iş, onu çalıştıran kişiye değil, ajana atfedilen bir denetim kaydına yazılıyor. Bu küçük gibi görünen bir tasarım kararı. Aslında bir sorumluluk kararı: hangi işi kimin yaptığı artık kayıtta.

Ajana kafes. Microsoft 7 Ekim'de Windows 11 için "Execution Containers" özelliğini duyurdu: yapay zeka ajanları bilgisayarın geri kalanından ayrılmış sanal bir ortamda çalışacak; özellik bütün Windows 11 kullanıcılarına açılacak. Hata olursa etki alanı belli.

Ve sigortacılar. Financial Times'ın 6 Ekim'de aktardığına göre sigorta şirketleri yapay zeka ajanlarından kaynaklanan "milyonlarca dolarlık" talepler bekliyor. Aon 300'den fazla yapay zeka davasını incelemiş.

Bunları tek tabloda toplayınca örüntü belirginleşiyor:

Altı şirket, sekiz gün, aynı yön. Zeka herkese aynı fiyattan satılıyor. Fark, zekanın attığı adımın altına kimin, hangi kayıtla imza attığında.

Avrupa erteliyor, Amerika imza topluyor

Devletler tarafı daha yavaş. Avrupa Birliği temmuzda yürürlüğe giren "Omnibus" düzenlemesiyle, yüksek riskli yapay zeka sistemlerine ilişkin yükümlülüklerin bir kısmını Aralık 2027'ye, ürün içine gömülü yapay zekayı ise Ağustos 2028'e erteledi. Amerika'da ise eylül sonunda büyük şirketlerin liderlerinin imzaladığı Süper Zeka Mutabakatı hukuken bağlayıcı değil; metni Beyaz Saray'ın sitesinde değil, Trump'ın sosyal medya paylaşımında yer aldı ve kontrolleri şirketler kendi iç süreçleriyle uygulayacak.

13 Ekim'de aralarında Geoffrey Hinton ve Yoshua Bengio'nun da olduğu 406 bilim insanı, modellerin internetten derhal ayrılmasını ve bağlayıcı bir uluslararası kurum kurulmasını istedi.

Yani bugün sorumluluğun kuralını büyük ölçüde ne yasa koyucu ne de bilim insanı yazıyor. Şirketler kendi ürünlerinin içine yazıyor. Kayıt sistemini kim kuruyorsa, kuralı da fiilen o koyuyor.

Türkiye: kanun yok, yönetmelik ve karar var

Türkiye'de yapay zekaya özel bir kanun hâlâ yok. Meclis'te bekleyen teklifler var; içlerinde sahte içeriğin altı saat içinde kaldırılması ve 10 milyon liraya varan ceza öngören maddeler bulunuyor. Ekim'de bu tekliflerde kamuya açık bir ilerleme görünmüyor.

Ama bu, kuralın olmadığı anlamına gelmiyor. Kurallar başka kapılardan, birer birer giriyor:

• 1 Ağustos 2026: Reklam yönetmeliği değişikliği yürürlüğe girdi. Tüketicinin kararını önemli ölçüde etkileyecek biçimde yapay zeka kullanılan ya da insandan ayırt edilemeyen yapay zeka karakterine yer verilen reklamda bu durum açıkça belirtilmek zorunda; gerçek bir kişinin yapay zekayla üretilmiş kopyasının ürünü deneyimliyor ya da tavsiye ediyormuş gibi gösterilmesi yasak.
• 18 Ağustos 2026: Türkiye Yapay Zeka Eylem Planı (2026-2030) Cumhurbaşkanlığı genelgesiyle yürürlüğe girdi.
• 8 Ekim 2026: Kişisel Verileri Koruma Kurulu'nun ilke kararı Resmî Gazete'de yayımlandı. İşveren, çalışana verdiği kurumsal e-postayı, iş yazışma uygulamalarını, müşteri yönetim sistemini ve toplantı platformu sohbetlerini sınırsız denetleyemiyor. Yalnızca kayıtların (log) incelenmesi bile kişisel veri işleme sayılıyor. Denetimden önce amaç, kapsam, yöntem ve saklama süresi çalışana somut olarak açıklanmalı. İçeriğe bakmak ancak somut bir şüphe varsa ve orantılı biçimde mümkün.
• 10 Ekim 2026: Sosyal ağlarda yaş doğrulama yönetmeliği yayımlandı. 15 yaşın altına hesap açılmayacak, doğrulama e-Devlet üzerinden yapılacak.

Bir de devletin kendi kullanımı var. Gelir İdaresi'nin TÜBİTAK'la geliştirdiği KAŞİF sistemi, yapılan açıklamalara göre her gün yaklaşık 4 milyon mükellefi yapay zeka destekli analizle tarıyor. Jandarma'nın DOLUNAY projesi, dolandırıcılık telefonundan itibaren 18 dakika içinde analizin yapılıp paranın bloke edilmesini hedefliyor; sistem henüz devrede değil.

Bu tablo bir çelişki değil, bir uyarı. Devlet yapay zekayı denetim tarafında kullanıyor; vergi incelemesinde dayanağı vergi mevzuatı, DOLUNAY içinse kurallar henüz hazırlanıyor. Bir işveren benzer bir teknolojiyi kendi çalışanına yöneltmek istediğinde ise KVKK önce açıklama ve orantılılık istiyor. Kural koyan her kurum, sorumluluğu kendi alanında tanımlıyor.

İşletme için pratik sonuç şu: "zarar olursa kim sorumlu" sorusunun cevabı Türkiye'de yapay zekaya özel bir metinde yok. Cevap Borçlar Kanunu'nun genel sorumluluk hükümlerinde, tüketici ve ürün güvenliği mevzuatında, sözleşmenizde ve sizin tuttuğunuz kayıtta. KVKK kararı ve reklam yönetmeliği ise işin yalnız belirli bir dilimini düzenliyor. TÜİK'teki yüzde 66,4 bu yüzden haklı bir tedirginlik. Ama beklemek de çözüm değil. Kanun gelene kadar sorumluluğu belirleyen şey, sizin kurduğunuz düzen olacak.

Yapı sektöründen bir not: makine çizer, imzayı insan atar

Yapı sektörünün içinden biri olarak Blueprints AI haberini okurken aklıma ilk gelen şey teknoloji değil, imza oldu.

6 Şubat 2023'ten sonra bu ülkede herkes bir projenin altındaki imzanın ne anlama geldiğini acı biçimde öğrendi. Statik hesabı makinenin yeniden kontrol etmesi mümkün ve bence artık gerekli. Deprem yönetmeliğinin açık kurallarını bir raporla karşılaştırmak, insan gözünün kaçırabileceği tutarsızlığı yakalamak, yapay zekanın en anlamlı kullanım alanlarından biri. Ama o kontrolün sonucu bir mühendisin, bir mimarın, bir denetçinin imzasıyla anlam kazanıyor.

Türkiye'de bu alanda kurulacak bir yapay zeka ürününün değeri, çizimi hızlandırmasında değil, kontrolü ölçülebilir hale getirmesinde ve kontrolün kaydını tutmasında olacak. "Model bunu doğru buldu" değil, "şu madde şu değerle şu nedenle sağlanıyor, kontrolü şu kişi onayladı" diyebilen sistem.

Bu sadece inşaata özgü değil. Muhasebede mali müşavirin imzası, sağlıkta hekimin onayı, hukukta avukatın dilekçesi aynı mantıkla çalışıyor. Yapay zekanın Türkiye'deki en büyük fırsatı, imzanın önündeki emeği kısaltmak ve imzanın arkasındaki kaydı güçlendirmek.

Bu hafta yapılacak 5 iş

1. Her otomasyona ayrı kimlik verin. Ajanı ya da otomasyonu hiçbir çalışanın kişisel hesabıyla çalıştırmayın. Google'ın yaptığı gibi her birine ayrı hesap açın. Böylece hangi işi kimin, neyin yaptığı ayrışır.
2. Yetkiyi fiil fiil yazın. Okumak ayrı, yazmak ayrı, göndermek ayrı, ödemek ve silmek ayrı yetki. Okuma serbest olabilir; dışarıya giden her gönderim, her ödeme ve her silme bir insan onayına bağlansın.
3. Şifreleri anahtarlıktan çıkarın. CERT-In vakasında giriş yolu açıkta kalmış kimlik bilgileriydi. Kodun içinde, paylaşılan tablolarda, mesajlaşma gruplarında duran şifreleri bulun ve tek bir güvenli kasaya taşıyın.
4. Kayıt tutun. Ajanın her eylemi tarihli, geri izlenebilir olsun: ne zaman, neye dayanarak, kimin onayıyla. Uyuşmazlıkta elinizdeki tek savunma bu kayıt olacak.
5. Sözleşmeye "zarar olursa" maddesi ekleyin. Yapay zeka kullanan tedarikçinizle sorumluluğun paylaşımını, olay bildirim süresini ve varsa sigortayı yazılı hale getirin. Çalışan iletişimini denetleyen bir araç kullanıyorsanız KVKK'nın 8 Ekim'de yayımlanan ilke kararına göre aydınlatma metninizi güncelleyin.

Sık Sorulan Sorular

Yapay zekanın verdiği yanlış karardan kim sorumlu?

Türkiye'de yapay zekaya özel bir sorumluluk kanunu yok; genel hükümler uygulanıyor. Pratikte aracı kullanan işletme müşterisine karşı sorumluluğu taşır; tedarikçiyle arasındaki paylaşımı büyük ölçüde sözleşme belirler, ama ağır kusurda sorumsuzluk kaydı geçersizdir ve ürün kaynaklı bir zararda zarar gören doğrudan üreticiye de başvurabilir. Bu yüzden yazılı bir sorumluluk maddesi ve düzenli kayıt, kanun beklemekten daha hızlı koruma sağlar. Somut bir durum için mutlaka bir hukukçuya danışın.

Çalışanlarımın kurumsal e-postasını yapay zekayla tarayabilir miyim?

Sınırsız olarak hayır. KVKK'nın 8 Ekim 2026'da Resmî Gazete'de yayımlanan ilke kararına göre yalnızca kayıtların incelenmesi bile kişisel veri işleme sayılıyor. Denetimden önce amaç, kapsam, yöntem ve saklama süresi çalışana somut olarak açıklanmalı; içeriğe bakmak ancak somut bir şüphe varsa ve orantılı biçimde mümkün.

Müşteri, yapay zeka ajanının verdiği siparişe itiraz ederse ne olur?

Türkiye'de bunun özel bir standardı henüz yok. American Express'in 13 Ekim'de duyurduğu çerçeve yönü gösteriyor: ödemeden önce müşterinin niyeti, yani satıcı ve azami tutar, kayda geçiriliyor ve kanıt olarak saklanıyor. Kendi sisteminizde ajan üzerinden gelen siparişleri ayrı işaretleyin ve onay adımını kaydedin.

Son söz

Bu ay dünyanın en büyük şirketleri daha zeki modeller tanıttı. Ama paranın ve emeğin aktığı yere bakınca başka bir şey görünüyor: mühür, kayıt, onay, kafes, sigorta. Zeka herkese aynı fiyattan satılıyor. Fark, o zekanın attığı adımın altında kimin adının yazdığında.

TÜİK'in tablosundaki yüzde 66,4 bir korku değil, doğru bir soru. Cevabı Ankara'dan bir kanun olarak gelmeden önce, her işletmenin kendi düzeninde yazılabilir.

Tez: Yapay zekada zeka ucuzladı; pahalı olan, "bunu ben yaptım" diyebilen imza ve o imzanın arkasındaki kayıt.

Senin işletmende yapay zekanın attığı her adımın altında kimin adı yazıyor?

---

Kaynaklar

1. DHA (TÜİK verisi, 02.10.2026): Yapay zeka kullanımı yüzde 19,2'den 37,6'ya; kullanmayı planlayan işletmelerde engeller yüzde 72,3, 66,4, 65,4. https://www.dha.com.tr/gundem/yapay-zeka-kullanimi-2-kat-artti-2955285
2. Anthropic, Investigating unintended model actions (09.10.2026). https://www.anthropic.com/research/investigating-unintended-model-actions
3. TechCrunch, An Anthropic AI model sent a false homicide tip to Philadelphia police (09.10.2026). https://techcrunch.com/2026/10/09/an-anthropic-ai-model-sent-a-false-homicide-tip-to-philadelphia-police/
4. The Decoder (CrowdStrike aktarımı), AI-powered hacking tools enabled a likely single attacker to breach multiple South Korean banks (08.10.2026). https://the-decoder.com/ai-powered-hacking-tools-enabled-a-likely-single-attacker-to-breach-multiple-south-korean-banks/
5. The Decoder (Zenity araştırması), A single prompt was enough to hijack every AI agent in an AWS account (08.10.2026). https://the-decoder.com/a-single-prompt-was-enough-to-hijack-every-ai-agent-in-an-aws-account-zenity-researchers-found/
6. TechCrunch, India becomes the latest country to report rogue AI agent activity (16.10.2026). https://techcrunch.com/2026/10/16/india-becomes-the-latest-country-to-report-rogue-ai-agent-activity/
7. TechCrunch, This AI startup says it can generate permit-ready blueprints in minutes (12.10.2026). https://techcrunch.com/2026/10/12/this-ai-startup-says-it-can-generate-permit-ready-blueprints-in-minutes/
8. The Decoder (CNBC aktarımı), Bank of America puts 4,000 people on fixing vulnerabilities uncovered by AI models (14.10.2026). https://the-decoder.com/bank-of-america-puts-4000-people-on-fixing-vulnerabilities-uncovered-by-anthropics-mythos-and-other-ai-models/
9. TechCrunch, Amex introduces a framework to prevent AI agents from making unauthorized purchases (13.10.2026). https://techcrunch.com/2026/10/13/amex-introduces-a-framework-to-prevent-ai-agents-from-making-unauthorized-purchases/
10. TechCrunch, Google brings agentic AI to Gemini, starting with businesses (08.10.2026). https://techcrunch.com/2026/10/08/google-brings-agentic-ai-to-gemini-starting-with-businesses/
11. TechCrunch, Microsoft releases new Nvidia chip AI PCs with revamped Windows 11 (07.10.2026). https://techcrunch.com/2026/10/07/microsoft-releases-new-nvidia-chip-ai-pcs-with-revamped-windows-11/
12. The Decoder (FT aktarımı), Insurers brace for millions in claims as AI agents spin out of control (06.10.2026). https://the-decoder.com/insurers-brace-for-millions-in-claims-as-ai-agents-spin-out-of-control/
13. Anthropic, 2026 usage policy update (08.10.2026; yürürlük 12.11.2026). https://www.anthropic.com/news/2026-usage-policy-update
14. Bratby Law, Digital Omnibus: AI high-risk delay (AB yüksek risk takviminin ertelenmesi). https://bratby.law/digital-omnibus-ai-high-risk-delay/
15. Anadolu Ajansı, Beyaz Saray Süper Zeka Mutabakatı ve "süper zeka" kararnamesi (30.09.2026). https://www.aa.com.tr/tr/dunya/trump-yapay-zeka-yerine-super-zeka-teriminin-kullanilmasina-iliskin-kararnameyi-imzaladi/4073173
16. Beyaz Saray, "Inaugurating the Era of Super Intelligence" kararnamesi; mutabakat metni sitede yok (29.09.2026). https://www.whitehouse.gov/presidential-actions/2026/09/inaugurating-the-era-of-super-intelligence/
17. The Decoder, 406 scientists demand AI models be cut off from the internet immediately (13.10.2026). https://the-decoder.com/406-scientists-demand-ai-models-be-cut-off-from-the-internet-immediately/
18. Türkgün, Türkiye'de ilk yapay zeka kanunu TBMM'de (teklif içeriği). https://www.turkgun.com/gundem/turkiyede-ilk-yapay-zeka-kanunu-tbmmde-uymayana-para-ve-hapis-cezasi/319736
19. Resmî Gazete, 01.07.2026, sayı 33297 (Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği değişikliği; yürürlük 01.08.2026). https://www.resmigazete.gov.tr/eskiler/2026/07/20260701-9.htm
20. Erdem & Erdem, Türkiye Yapay Zekâ Eylem Planı 2026-2030 genelgesi Resmî Gazete'de. https://www.erdem-erdem.av.tr/bilgi-bankasi/turkiye-yapay-zeka-eylem-plani-2026-2030-genelgesi-resmi-gazetede-yayimlandi
21. KVKK, Kurumsal iletişim kanallarının denetlenmesine ilişkin 16.09.2026 tarihli, 2026/2035 sayılı ilke kararı. https://www.kvkk.gov.tr/Icerik/9044/isverenler-tarafindan-calisanlara-tahsis-edilen-kurumsal-e-posta-hesaplari-basta-olmak-uzere-isin-yurutulmesi-amaciyla-kullanilan-iletisim-kanallarinin-denetlenmesinde-uyulmasi-gereken-usul-ve-esaslar-hakkinda-kurulun-16-09-2026-tarihli-ve-2026-2035-sayili-ilke-karari-hk
22. Resmî Gazete, 10.10.2026, sayı 33396 (yaş doğrulama yönetmeliği). https://www.resmigazete.gov.tr/eskiler/2026/10/20261010.htm
23. NTV, Sosyal medyaya 15 yaş sınırı. https://ntv.com.tr/turkiye/sosyal-medyaya-15-yas-siniri-yeni-duzenleme-resmi-gazetede-1745607
24. Takvim, Gelir İdaresi'nden vergi kaçakçılarına yakın takip (KAŞİF, 02.08.2026). https://www.takvim.com.tr/ekonomi/2026/08/02/gelir-idaresinden-vergi-kacakcilarina-yakin-takip
25. Dünya, Dolandırıcılara yapay zeka kalkanı: çalınan para 18 dakikada bloke edilecek (DOLUNAY). https://www.dunya.com/gundem/dolandiricilara-yapay-zeka-kalkani-calinan-para-18-dakikada-bloke-edilecek-haberi-840500
26. Ertuğrul Akben